Andariel Criminal Group

Andariel Criminal Group说明

Andariel 犯罪集团是一个由国家支持的威胁行为者,一直专注于针对位于韩国的实体。网络犯罪分子在其业务中也表现出出于经济动机的一面。此前,该组织直接针对韩国的 ATM 机,而在该组织发起的最新严重攻击中,黑客向其中一名受害者部署了勒索软件威胁。应该指出的是,安达里亚犯罪集团已被韩国金融安全研究所指定为 Lazarus APT (高级持续威胁)集团的子集团。

到目前为止,安达利尔犯罪集团的受害者之间几乎没有任何联系。每个受害者都活跃在各自的垂直领域,与任何其他目标实体没有明确的联系。信息安全研究人员已经发现了在制造、媒体、建筑和家庭网络服务部门工作的团体的受害者。

复杂的攻击链

Andariel 犯罪集团开展的行动不断演变并变得更加复杂。最新观察到的活动由多个专门的损坏有效载荷组成,每个都部署在攻击的单独阶段。黑客使用武器化文档文件作为入侵的初始载体。这些文件旨在执行复杂的感染方法,使检测变得更加困难。虽然在大多数情况下,会向受害者发送武器化的 Microsoft Word 文档,但也有一些实例表明安达利尔犯罪集团使用伪装成 PDF 文档的损坏文件。执行后,这些文件会提供第二阶段的有效载荷——一种恶意软件威胁,负责与命令和控制(C2、C&C)服务器建立联系并为下一个有效载荷准备环境。

第二阶段恶意软件可以根据它从 C2 接收到的命令执行 5 个特定功能。这些包括设置睡眠间隔、将任何接收到的数据保存在本地文件中、通过 CreateThread() 执行接收到的数据以及通过 WinExec API 或 cmd.exe 执行给定的命令。在攻击的第三阶段,Andariel 犯罪集团将后门负载部署到受害者的机器上。后门在操作中交互执行,包含x64和x86版本。该威胁试图通过使用 Internet Explorer 或 Google Chrome 的图标和相关文件名将自己伪装成 Internet Explorer 或 Google Chrome。第三阶段威胁扫描受感染系统以寻找沙盒环境的迹象。它检查是否存在属于 Sandboxie 和 SunBelt SandBox 的特定模块。

对于一个受害者,Andariel 犯罪集团通过投放定制的勒索软件威胁来升级攻击。该恶意软件使用 AES-128 CBC 模式算法来加密所有文件,无论其大小如何,系统关键扩展名除外,例如".exe"、".dll"、".sys"、".msiins"和" .drv.'附加到锁定文件的默认扩展名是".3nc004",这也是带有赎金记录的文本文件的名称。该笔记的文本显示,黑客希望收到以比特币支付的赎金,并提出免费解密两个文件。